![如何使用 Microsoft Identity Manager PCNS 配置两个 Active Directory 域之间的密码同步?](https://linux22.com/image/733505/%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8%20Microsoft%20Identity%20Manager%20PCNS%20%E9%85%8D%E7%BD%AE%E4%B8%A4%E4%B8%AA%20Active%20Directory%20%E5%9F%9F%E4%B9%8B%E9%97%B4%E7%9A%84%E5%AF%86%E7%A0%81%E5%90%8C%E6%AD%A5%EF%BC%9F.png)
我有两个具有双向信任关系(选择性身份验证)的域。已安装并配置 Microsoft Identity Manager,并且已配置“密码更改通知服务”,并已正确使用 RPC 请求将密码更改传送到目标 FIMSyncronization 服务(Kerberos 身份验证也正常工作)。
MIM 中配置了两个 AD 管理代理:一个用于“源”域,另一个用于“目标”域。
为了允许“源”代理和“目标”代理上的密码同步,需要配置哪些属性和连接/投影规则?
官方文件对此事的说明并不明确,并且网络上的所有示例都没有提供有关密码同步所需的规则/属性/映射的任何提示。
另外,“unicodePwd”属性在 Active Directory 中是只写的,并且 Metaverse 中似乎没有任何相关属性来存储此密码哈希。
答案1
通常,您会在源 MA 中有一个投影规则,以在元宇宙中生成一个对象,同时将至少一个导入属性流导入到索引属性 - 例如 sAMAccountName、employeeID 等。
您还将在目标 MA 中拥有一条连接规则,用于将目标帐户链接到源 MA 创建的元宇宙对象。
一旦账户链接起来并且密码同步服务收到新密码的通知,密码将被发送到目标,而无需任何额外的属性流。